Se deben identificar, especificar y aprobar los requisitos de seguridad de la información al desarrollar o adquirir aplicaciones.
El código se analiza en busca de vulnerabilidades a nivel de código, patrones de autenticación débiles y fallos del OWASP Top 10. Las imágenes de contenedor se analizan continuamente en busca de errores de configuración.
Todos los eventos y errores de las aplicaciones y las actividades relevantes para la seguridad se registran de forma centralizada. Prometheus y Grafana recopilan y visualizan de forma eficaz las métricas de recursos.
Todo el código de las aplicaciones se desarrolla según requisitos de seguridad definidos, incluidos un control de acceso adecuado y comprobaciones de autorización. Usamos desarrollo guiado por pruebas (TDD) y pruebas exhaustivas de casos de uso para validar tanto los escenarios esperados como los negativos (p. ej., comprobar que se deniega el acceso cuando corresponde).